Ελέγχοντας τον ελεγκτή: Ένα ιδιαίτερο ρυθμιστικό inception από τη δανική Αρχή Προστασίας Δεδομένων

Δύο είναι οι βασικές προβλέψεις του Γενικού Κανονισμού Προστασίας Δεδομένων για την περίπτωση όπου διαπιστώνεται παραβίαση δεδομένων: Η γνωστοποίηση της παραβίασης στην εποπτική αρχή (άρθρο 33) και η ανακοίνωσή της στα υποκείμενα των δεδομένων (άρθρο 34).

Τι γίνεται όμως αν ο υπεύθυνος επεξεργασίας, που διαπιστώνει την παραβίαση αυτή, είναι η ίδια η εποπτική αρχή;

Η απάντηση στο άκρως πρωτότυπο αυτό ερώτημα δόθηκε πρόσφατα από την Αρχή Προστασίας Δεδομένων της Δανίας (Datatilsynet), όταν αυτή διαπίστωσε πλημμελή διαχείριση και απώλεια έντυπου υλικού της.

Σύμφωνα με δελτίο τύπου της Datatilsynet της 20ης Αυγούστου, υπάλληλος της Αρχής διαπίστωσε ότι επί σειρά μηνών έγγραφα που σχετίζονταν με καταγγελίες πολιτών και προορίζονταν για καταστροφή, σύμφωνα με την προβλεπόμενη διαδικασία, είχαν αποτεθεί σε κάδο με υλικό ανακύκλωσης.

Αποτέλεσμα ήταν τα έγγραφα αυτά να συλλέγονται δύο φορές την εβδομάδα από ιδιωτική εταιρεία και να μεταφέρονται σε εργοστάσιο ανακύκλωσης, γεγονός που συνιστά βέβαια παραβίαση προσωπικών δεδομένων.

Το γεγονός έγινε αντιληπτό στις αρχές του Αυγούστου και κατόπιν έρευνας διαπιστώθηκε ότι οφείλεται σε λανθασμένη σήμανση επί των κάδων απόθεσης απορριμμάτων, μετά τη μετακόμιση της Αρχής στα νέα της γραφεία το Φεβρουάριο του 2020. Τούτο σημαίνει ότι η παραβίαση αυτή έλαβε χώρα καθ’όλο το χρονικό διάστημα Φεβρουαρίου-Αυγούστου 2020.

Μετά τη διαπίστωση αυτή και ελλείψει ειδικής πρόβλεψης του Γενικού Κανονισμού για τις εποπτικές αρχές, η Datatilsynet έκρινε ότι πρέπει να γνωστοποιήσει το περιστατικό στην ίδια, κατά το άρθρο 33 ΓΚΠΔ, ενώ παράλληλα ανήρτησε σχετικό δελτίο τύπου στην ιστοσελίδα της, ενημερώνοντας τους πολίτες για τα μέτρα που έχει έκτοτε λάβει, καθώς και για το ενδεχόμενο να προχωρήσει και σε ανακοίνωση προς τα υποκείμενα των δεδομένων.

Εν τέλει και παρά το γεγονός ότι η παραβίαση δεν κρίθηκε ως δυνάμενη να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, την 26-8 αναρτήθηκε και η δημόσια ανακοίνωση του άρθρου 34 ΓΚΠΔ, με ειδική αναφορά στις κατηγορίες των δεδομένων που περιλαμβάνονταν στα έγγραφα, καθώς και τις ενδεχόμενες συνέπειες.

Τέλος, αξιοσημείωτο της τυπικότητας με την οποία ενήργησε η δανική αρχή είναι η παραδοχή και δημόσια απολογία της για την απώλεια της προθεσμίας των 72 ωρών για γνωστοποίηση της παραβίασης, που προβλέπεται από το άρθρο 33 ΓΚΠΔ.

Η γνωστοποίηση υπεβλήθη επίσημα σχεδόν ένα 24ωρο μετά την πάροδο της προθεσμίας, λόγω καθυστέρησης του αρμοδίου υπαλλήλου.